Анализ технической безопасности и пентест – в чем разница?

29.07.2019

Анализ технической безопасности и тестирование на проникновение (пентест) - ключевые компоненты стратегии устойчивой ИТ-безопасности. Речь идет о поиске уязвимостей, прежде чем злоумышленник сможет их проэксплуатировать. Часто эти термины используются взаимозаменяемо, но есть некоторые важные различия в стратегии и методологии.

Обе меры показаны всем современным организациям, которые заботятся об информационной безопасности своей ИТ-инфраструктуры.

Основное внимание при этом уделяется следующим вопросам:

- Каковы технические уязвимости ИТ-систем, инфраструктуры и приложений?

- Насколько эффективны существующие механизмы безопасности для предотвращения или обнаружения атак?

- Какой вред может нанести злоумышленник, который использует уязвимости и обходит механизмы безопасности?

Для имитации атаки ИБ-специалисты используют те же стратегии, тактику и инструменты, что и настоящие хакеры.

Так в чем же разница?

Анализ безопасности - прагматичный метод, с помощью которого аналитики изучают, насколько устойчива внутренняя ИТ-инфраструктура к внешним или внутренним атакам. Это обеспечивает хороший обзор того, обеспечивает ли защитное кольцо организации поверхность атаки, и сколько потенциальных точек входа может найти злоумышленник. Анализ безопасности – начальный этап, он может служить отправной точкой для более углубленного тестирования, такого как «тестирование на проникновение».

Пентест показывает, в какой степени злоумышленник может проникнуть в инфраструктуру, в каком масштабе и как быстро он может нанести вред организации. Бывает, что достаточно одной точки входа, с помощью которой преступник может затем искать и находить более глубокие уязвимости, чтобы, наконец, добраться до настоящих информационных «сокровищ» компании. Пентест - обычно более трудоемкая задача, чем анализ безопасности, и более предпочтительный инструмент, когда речь идет о повышении осведомленности о безопасности в организации и предоставлении руководству более глубокого понимания реальных рисков для бизнеса.

Анализ безопасности и пентесты всегда выполняется людьми. В отличие от обязательного к регулярному проведению сканирования уязвимостей, когда приложения и системы защищаются программным обеспечением и процесс выявления уязвимостей полностью автоматизирован.

Обученные и опытные эксперты по безопасности, безусловно, используют в своей работе определенные инструменты, но благодаря опыту они также могут выявлять и неизвестные и потенциально опасные бреши и нарисовать полную и реалистичную картину возможной атаки. Этот процесс обычно идет в три этапа, при необходимости его повторяют несколько раз, чтобы учесть новые знания на других этапах:

• Сбор информации
• Определение «дыр» в безопасности
• Оценка уязвимости

Цель - вывести реалистичные контрмеры для устранения пробелов в безопасности и снизить риски до приемлемого для организации уровня, прежде чем настоящий злоумышленник сможет использовать уязвимости.